CVE-2026-49252: Poluição de protótipo no servidor deepstream permite escalonamento de privilégios
Versões do servidor deepstream anteriores à 10.0.5 contêm uma falha de poluição de protótipo (CWE-1321) que pode ser explorada por qualquer usuário autenticado com permissão de escrita em algum registro para potencial escalonamento de privilégios. A CNA do GitHub atribui nota 9.9 (crítica) no CVSS 3.1, e a correção está na versão 10.0.5.
Visão geral
A CVE-2026-49252 é uma vulnerabilidade de poluição de protótipo (CWE-1321) no deepstream, servidor que permite a clientes e serviços de backend sincronizar dados, enviar mensagens e fazer RPCs em escala. Segundo o aviso de segurança do GitHub, as versões anteriores à 10.0.5 são afetadas. Uma alteração de código relacionada está disponível no histórico de commits do projeto.
Impacto
A CNA (security-advisories@github.com) atribuiu nota base CVSS 3.1 de 9.9 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L. Ou seja, a falha é acessível pela rede, com baixa complexidade, exige apenas privilégios baixos, dispensa interação do usuário e tem escopo alterado, com alto impacto em confidencialidade e integridade e baixo impacto em disponibilidade.
A descrição informa que a exploração pode levar a um potencial escalonamento de privilégios por qualquer usuário autenticado com permissão de escrita em qualquer registro. Em servidores baseados em JavaScript, a poluição de protótipo pode alterar propriedades compartilhadas entre objetos, o que pode afetar verificações de permissão ou a lógica da aplicação; o mecanismo exato não é detalhado no registro.
Produtos e versões afetados
- deepstream (deepstreamIO/deepstream.io): versões anteriores à 10.0.5
- Corrigido em: 10.0.5
O registro não traz dados estruturados de CPE ou de pacotes afetados além da descrição.
Status de exploração
Esta CVE não consta do catálogo CISA Known Exploited Vulnerabilities, e não há exploração confirmada nas fontes consultadas. O registro não inclui pontuação EPSS.
Correção e mitigação
- Atualize o deepstream para a versão 10.0.5 ou posterior.
- Até a atualização, revise e restrinja as permissões de escrita em registros para que apenas usuários confiáveis possam gravar dados, reduzindo quem pode acionar a falha.
- Audite contas com acesso de escrita e remova privilégios desnecessários.
- Consulte o aviso para orientações adicionais do mantenedor.
Orientações de detecção
- Faça inventário de implantações e manifestos de dependências para identificar instâncias do deepstream anteriores à 10.0.5.
- Monitore operações de escrita em registros em busca de nomes de propriedades incomuns associados à poluição de protótipo (como chaves que referenciam protótipos ou construtores de objetos) e gere alertas.
- Observe mudanças inesperadas de permissão ou usuários executando ações além de seus papéis.
Limitações das informações disponíveis
O status no NVD é "Deferred", e o registro não contém pontuação EPSS, avaliação SSVC nem dados estruturados de versões afetadas. Os detalhes técnicos do trecho vulnerável não são descritos no registro além do commit referenciado. O alcance total do escalonamento de privilégios em diferentes configurações é desconhecido.
Perguntas frequentes
Quais versões do deepstream são afetadas pela CVE-2026-49252?
Versões anteriores à 10.0.5; a correção está na 10.0.5.
Quem pode explorar esta vulnerabilidade?
Segundo a descrição, qualquer usuário autenticado com permissão de escrita em qualquer registro poderia potencialmente escalar privilégios.
A CVE-2026-49252 está sendo explorada ativamente?
Ela não consta do catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Qual a gravidade?
A CNA do GitHub atribui CVSS 3.1 9.9, crítica.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.